У вас утечка памяти, вызванная водителем. Посмотрите на высокое значение нестраничной памяти ядра. В вашем случае это больше 3,7 ГБ. Вы можете использовать poolmon , чтобы увидеть, какой драйвер вызывает высокое использование.
Установите Windows WDK , запустите poolmon, отсортируйте его через P после типа пула, так что не-страницы находится сверху и через B после байт, чтобы увидеть тег, который использует большую часть памяти. Запустите poolmon, перейдя в папку, в которую установлен WDK, перейдите в Tools (или C:\Program Files (x86)\Windows Kits0\Tools\x64
) и нажмите poolmon.exe
.
Теперь посмотрите, какой тег пула использует большую часть памяти, как показано здесь:
Теперь откройте командную строку и выполните команду findstr. Для этого откройте командную строку и введите cd C:\Windows\System32\drivers
. Затем введите findstr /s __ *.*
, где __ - это тег (самое левое имя в poolmon). Сделайте это, чтобы посмотреть, какой драйвер использует этот тег:
Теперь перейдите в папку драйверов (C:\Windows\System32\drivers
) и щелкните правой кнопкой мыши на нужном драйвере (intmsd.sys в приведенном выше примере образа). Нажмите Свойства, перейдите на вкладку Подробности, чтобы найти Название продукта. Ищите обновление для этого продукта.
Если пултаг показывает только драйверы Windows или находится в списке pooltag.txt ("C:\Program Files (x86)\Windows Kits0\Debuggers\x64\triage\pooltag.txt"
)
, используйте xperf для трассировки причин использования . Установите WPT с SDK Windows , откройте cmd. exe от имени администратора и выполните следующее:
xperf - на PROC_THREAD+LOADER+POOL -stackwalk PoolAlloc+PoolFree+PoolAllocSession+PoolFreeSession -BufferSize 2048 -MaxFile 1024 -FileMode Circular && timeout -1 && xperf -d C:\pool.etl
захватывают 30 -60-е годы роста. Откройте ETL с помощью WPA.exe, добавьте графы пула в панель анализа.
Поместите столбец пула на первое место и добавьте столбец стека. Теперь загрузите символы внутри WPA.exe и разверните стек тега, который вы видели в poolmon.
Теперь найдите другие сторонние драйверы, которые вы можете увидеть в стеке. Здесь тег Thre
(Thread) используется AVKCl.exe из G-Data. Ищите обновления драйверов/программ для их исправления.
Пользователь Hristo Hristov предоставил трассировку с высоким уровнем использования FMfn
во время распаковки файлов:
Тэг используется драйвером WiseFs64.sys
, который является частью программы “Wise Folder Hider”. Удаление исправляет утечку.
Пользователь Samuil Dichev предоставил трассировку с высоким использованием FMic
и Irp
Пользователь Samuil Dichev предоставил трассировку с высоким использованием FMic
и Irp
Тэги используются программой Razor Cortex .
В примере пользователя [ chr0n0ss ]&003 использование &007 и &007 вызвано F-Secure Antivirus Suite:
Удаление его и использование Windows Defender исправило проблему.